21 października twórcy PHP załatali dwie krytyczne luki: CVE-2026-109618 i CVE-2026-109619, nazywane wspólnie „PHP2Shell”. W określonych warunkach pozwalają przejąć serwer bez logowania, a pierwsze próby ataków odnotowano jeszcze przed publikacją poprawek.
Kogo to dotyczy?
Praktycznie każdej strony działającej na PHP, w tym na WordPressie, Joomli i większości sklepów internetowych. Problem nie leży we wtyczkach ani w motywie, tylko w samym PHP na serwerze. Dlatego aktualizacja WordPressa tu nie wystarczy – poprawkę musi zainstalować hosting albo administrator serwera.
Co warto zrobić już teraz
- Sprawdzić wersję PHP (w WordPressie: Narzędzia → Zdrowie witryny → Informacje → Serwer). Bezpieczne są m.in. wersje 8.2.35, 8.3.36, 8.4.27 i 8.5.12 albo wersje z poprawką wgraną przez hosting.
- Upewnić się, że hosting zainstalował aktualizację. Szczególnie ważne na serwerach VPS i maszynach zarządzanych samodzielnie – tam nikt nie zrobi tego za Ciebie.
- Jeśli strona działa na PHP 8.1 lub starszym – zaplanować przejście na nowszą wersję. Te gałęzie nie dostają już oficjalnych poprawek bezpieczeństwa.
Po czym poznać, że coś jest nie tak?
Najczęstsze objawy przejętej strony to niespodziewane przekierowania na obce witryny, spam w wynikach Google (np. podstrony z lekami albo kasynami pod Twoją domeną), ostrzeżenia przeglądarki o niebezpiecznej stronie i nieznane konta administratorów w panelu.
Nie wiesz, jak to sprawdzić, albo strona zaczęła zachowywać się dziwnie? Zrobię audyt bezpieczeństwa strony i serwera (od 200 zł netto), zaktualizuję PHP, WordPressa i wtyczki, a w razie infekcji wyczyszczę stronę ze złośliwego kodu (od 500 zł netto, zależnie od zakresu). Napisz do mnie.